Глава 5 Методических рекомендаций № 3-МР устанавливает жесткие требования к доверию при использовании финансовыми организациями сторонних сервисов и компонентов ИИ с открытым исходным кодом.

В связи с этим возникают следующие вопросы: с учетом специфики финансового рынка нашей страны разработаны ли единые критерии оценки доверия и методики аудита цепочек поставок open source-библиотек? Проводится ли обязательная проверка участия таких компонентов в программах Bug Bounty и наличия сертификатов, подтверждающих применение практик безопасной разработки?

О репутации модели ИИ и ее разработчика

Владислав Пец, аудитор по ИБ компании «РАД КОП», утверждает: «На данный момент единых критериев в соответствии с ГОСТ Р 59276-2020, которые были бы адаптированы для финансовых организаций, использующих модели ИИ, нет. Но некоторые из практик по аудиту цепочки поставок open source-библиотек уже наработаны».

По мнению эксперта, можно выделить следующие шаги и условия:

сканирование репозиториев на известные уязвимости в целях выявления уязвимостей, которые имеют низкий балл CVSS, но являются критичными для моделей ИИ, например, уязвимость, позволяющая подменить веса модели;

оценка репутации модели ИИ и ее разработчика, а также активность комьюнити относительно рассматриваемой модели;

в рамках проводимой оценки на текущий момент проверка участия таких компонентов в программах Bug Bounty является необязательной;

относительно open source-библиотек сертификация соответствия...